企業(yè)漏洞管理原則與威脅向量
企業(yè)漏洞管理對于企業(yè)安全人員來說是一門必修功課，但是在漏洞層出的今天，不可能保證將所有的漏洞都偵查到。但是我們可以通過將企業(yè)漏洞管理化整為零，或許可以實現(xiàn)更為有效地防御。在這一節(jié)里，我們將以SANS研究機構主席Stephen Northcutt的培訓會議(SANS安全領導要素)為基礎來進行漏洞管理的闡述。
五個企業(yè)漏洞管理原則
Northcutt任務對于任何需要進行漏洞管理的地方，都包含下列五個必須優(yōu)先考慮的項目：
漏洞是有威脅存在的表現(xiàn)
缺乏補救措施的漏洞掃描沒有什么價值
即便是少量的掃描和補救都比大量掃描卻缺乏補救措施要強
在了解到哪些風險會給網(wǎng)絡帶來最大風險的基礎上，必須優(yōu)先需要修復的漏洞
安全從業(yè)人員應具備一個能讓他們追蹤漏洞的進程，以便能經(jīng)常而有效地修復漏洞。
在強調“從小做起”的價值時，Northcutt稱，一次掃描的量不需很多，但是及時修復漏洞是為了避免漏洞越積越多，威脅越來越大。如果，你具備足夠的修復能力，而不去修復，那就是一種不作為。
一旦發(fā)生數(shù)據(jù)泄漏，而且追查原因發(fā)現(xiàn)是公司早就知道卻沒有修復的漏洞造成的，那后果無疑很嚴重，甚至有可能惹上官司。
基本的威脅向量
下一步，Northcutt認為有必要對企業(yè)必須了解的基本威脅向量進行識別。它們分別是：
來自網(wǎng)絡的外部攻擊
來自網(wǎng)絡(VPN)的內(nèi)部攻擊
來自電話的外部攻擊
來自局域網(wǎng)的內(nèi)部攻擊
來自本地系統(tǒng)的內(nèi)部攻擊
惡意攻擊
Northcutt將最大的顧忌稱為“支點的力量”。所有攻擊者需要的其實只是一個“立足點”。他認為，如果有漏洞沒有打上補丁，而其他人又可以從外部訪問這個漏洞，那系統(tǒng)就會遭受損失，而這樣的系統(tǒng)會成為黑客進一步入侵其他系統(tǒng)的跳板。
心理因素
對于那些要抓住漏洞管理的重要性的公司行政人員來說，有必要用職員易懂的語言來說明。
老板會擔心什么問題呢?Northcutt給出了下列可能：
web服務器受損可能暴露企業(yè)信息招致其他人的奚落
而遭受損失可能暴露客戶的隱私信息，這可能為公司引來官司
對公司有非議的內(nèi)部職員或許想使壞，比如引發(fā)一個邏輯炸彈
對現(xiàn)狀不滿的人，可能向其他人出賣公司數(shù)據(jù)
容易被社交工程欺騙的雇員可能泄露敏感數(shù)據(jù)
入侵系統(tǒng)的黑客可能找到公司不可告人的秘密進而對公司進行敲詐勒索。
要了解問題的嚴重性，工作人員需要審視來自三個視角的挑戰(zhàn)。外部視角——如果你立足于企業(yè)網(wǎng)絡外部，就有能力看到外部情況;內(nèi)部視角，重點在于系統(tǒng)的配置是否得當，用戶視角，用戶主要從web和郵件來接入網(wǎng)絡。
為什么企業(yè)需要從這個三個視角來考慮問題呢?Northcutt解釋道：
大多數(shù)企業(yè)只用類似Core Impact Nessus或NeXpose的掃描器實現(xiàn)外部查看
如果用戶在上網(wǎng)過程中遭遇惡意網(wǎng)站，其系統(tǒng)會被黑客利用，最后淪為黑客攻擊其他系統(tǒng)的工具
SCADA多年的安全模式是，如果你沒有聯(lián)網(wǎng)，就不用有什么擔心。隨著越來越多的SCADA系統(tǒng)接入網(wǎng)絡，我們擔心也是與日俱增。
有了這些東西在手，就是時候看看各種掃描程序和滲透技巧了。
通過我們分析企業(yè)漏洞管理的五項基本原則和企業(yè)的基本威脅向量，希望廣大的安全人員能夠提升自己的安全意識，為自身企業(yè)提供更好的保護。
【編輯推薦】
